Falsa promoção do Carrefour no WhatsApp já infectou mais de 8 milhões de brasileiros

Tecnologia Vírus Blog do MesquitaEmpresa de segurança alerta sobre golpe e recomenda cautela ao abrir informações desconhecidas.

Uma falsa participação em pesquisa do consumidor via WhatsApp do varejista Carrefour tem infectado milhões de smartphones em todo o Brasil.

Segundo dados da PSafe, empresa brasileira de segurança e performance mobile, oito milhões de usuários já foram infectados até o momento.

De acordo com a companhia, o golpe consiste em uma mensagem solicitando a participação em uma pequena pesquisa, que oferece a chance de receber um vale-compra no valor de R$ 500,00 da loja.[ad name=”Retangulo – Anuncios – Direita”]

Ao clicar no link, porém, o usuário acessa uma página fictícia que resulta na invasão de seu smartphone.

Segundo especialistas, esse golpe tem sido mais frequente por não requerer um alto nível de conhecimento técnico por parte dos hackers e também, devido à fácil e alta disseminação das mensagens, visto que utiliza o nome de grandes marcas.

Além disso, utiliza em seu favor o fato de que promoções são constantemente divulgadas para conhecidos, que não checam a veracidade das informações.

Este golpe, em específico, é dividido em quatro etapas:

1- Disseminação da falsa promoção em grupos e contatos de WhatsApp com um link que redireciona o usuário para uma página com informações falsas do Carrefour;

2- A vítima é convidada a responder quatro perguntas, como: “Você é um cliente habitual?”, “Você já resgatou cupons de desconto no Carrefour?”, entre outras;

3- O usuário é induzido a compartilhar a falsa pesquisa com 10 amigos via WhatsApp, com a promessa de que receberá um cupom no valor de R$ 500 para compras da loja;

4- A vítima é direcionada para o preenchimento de informações de cadastro, divulgando informações pessoais e, além de expor seus dados, pode ser cadastrada em serviçoes de SMS pagos, baixar aplicativos maliciosos etc.;

“Quando a promoção não for anunciada nos canais oficiais da marca ou redirecionar o usuário para outras páginas, desconfie. Se mesmo assim quiser participar, certifique-se de que a promoção é real, ao entrar em contato diretamente com a empresa. Nunca disponibilize dados pessoais ou propague links antes de fazer esta checagem”, alerta a PSafe.
InfoMoney

Perícia digital e computação forense

Digital @ José Mesquita Direito DigitalCarreira amadurece no Brasil; entenda como atuar com perícia em informática na área do Direito

Reconstruir o passado, constatar a materialidade e apurar a autoria de incidentes cometidos com o requinte dos bits.

Esta é a função da perícia digital ou forense digital, carreira que mescla a formação jurídica com a tecnologia da informação e que cresce na esfera pública e privada à medida que conflitos, fraudes, furtos e agressões passam a ser cometidas por intermédio de dispositivos informáticos e telemáticos, de um computador de mesa a um dispositivo móvel celular.

A ciência, que tem em torno de quinze anos no País, destinada inicialmente a auxiliar a criminalística na apuração de crimes eletrônicos, passa a ser considerada também uma área corporativa afeta à segurança da informação, governança, risco e conformidade, dado o número crescente de fraudes via informática cometidas por colaboradores de empresas.

Apesar do crescimento no número de infrações cometidas sob o suposto anonimato virtual, as pessoas ainda insistem a classificar a perícia digital ou forense computacional como mero resgate científico de dados ou clonagem de discos, o que é uma premissa mais que incorreta.

[ad#Retangulo – Anuncios – Esquerda]Embora a legislação nacional exija apenas a graduação, não exigindo formação específica em tecnologia, deve-se sopesar que a nova profissão imprescinde de um conhecimento multidisciplinar, sob pena de erros serem homologados nas cortes do Brasil. Ainda temos casos em que o dono da loja de informática da cidade é o perito, economistas e contadores nomeados como peritos digitais, e isto é um risco para a efetividade da tutela jurisdicional, considerando que é comum os juízes confiarem na palavra do especialista.

Infelizmente, laudos superficiais geram quesitos a serem explorados por bons advogados em direito digital, que irão destituir as provas e, principalmente, cooperar com a impunidade.

No que se refere à formação ideal para a nova profissão, recomendável a mescla entre a jurídica e a técnica, uma vez que mais do que saber agir tecnicamente ou conhecer a intimidade das falhas e dos sistemas, este profissional precisa atuar na linha tênue que separa uma perícia homologada de uma produção probatória nula, ilícita ou ilegítima. Isto está mudando, mas infelizmente profissionais de segurança da informação pensam que já nascem peritos em forense digital. Na verdade, embora a segurança deva também ser reativa, sabemos que a proatividade e a reação são o cerne desta área, normalmente, consiste em tão-somente restabelecer os serviços, pouco importando se evidências serão destruídas ou quem são os responsáveis.

Nos treinamentos que ministramos, temos contatos com hackers éticos e security officers altamente treinados para coleta de evidências, mas que têm dificuldade em preservá-las, classificá-las, analisá-las em uma escala de prioridade e, principalmente, não conseguem escrever um laudo técnico pericial. Nesta profissão, saber escrever e dar significado a zeros e uns para um juiz ou sponsor é fundamental. Por outro lado, peritos com formação jurídica tendem a fazer laudos repletos de fundamentação legal e esquecem de analisar os pontos técnicos solicitados pelas partes.
Hodiernamente, a perícia digital não pode ser mais vista como um “box” separado da segurança da informação e das normas de governança em TI.

O profissional pode atuar na área pública ou privada. Na área pública, deve peticionar em juízo sua habilitação, que será ou não deferida pelo juiz. Em algumas comarcas, pode-se auxiliar o Ministério Público e delegacias não especializadas, apresentando-se em petição escrita instruída de curriculum, antecedentes criminais e experiência. Pode-se igualmente ser um perito policial, integrante do Instituto de Criminalística dos Estados ou da Polícia Federal (mediante concurso público). Já na área privada, os profissionais de forense corporativa normalmente integram uma equipe multidisciplinar composta por profissionais da área jurídica e técnica, de nível estratégico e gerencial, e que estão inter-relacionados com o Time de Resposta a Incidentes da Empresa, previsto na norma ISO 27001.

Nesta profissão, saber escrever e dar significado a zeros e uns para um juiz ou sponsor é fundamental.

A formação para o aspirante a perito deve ser aprofundada em tecnologia e direito, deve demonstrar experiência em frameworks, compliance e melhores práticas previstas na tecnologia da informação como SOX, COBIT, ITIL, PCI , ISO 270001, além da legislação básica brasileira, Código Civil, Código Penal, Consolidação das Leis do Trabalho, e principalmente, normas processuais e procedimentais que regulamentam a produção da prova pericial no Brasil.

Diferente da ficção
Esse imaginário de “Sherlock Holmes” ou “CSI ” é mito. A única semelhança entre nossa profissão e a série de TV CSICSICSI é que também não dormimos e muitas vezes comemos mal. No Brasil, verificamos muitos casos onde ser ético e estar em conformidade era tão ou mais importante do que ser um excelente coletador de evidências. Nossa advertência de sempre é: pode-se não ter tudo, mas o necessário, e com ética. Pela imprudência de peritos extremamente técnicos, já presenciamos um caso que um funcionário teve o direito reconhecido na Justiça do Trabalho ao ser vítima de uma sindicância em que o perito sniffava (escutava) seu tráfego pessoal, coletando inclusive dados bancários, extrapolando o direito de controle dos ativos informáticos, previsto na Política de Segurança da empresa.

Em nossos treinamentos para empresas e governo, trabalhamos justamente esta “ansiedade” dos técnicos e futuros especialistas em computação forense, trabalhando o proceder ético e advertindo do risco da produção de provas que extrapole o escopo de um mandado judicial ou ordem corporativa. Se o escopo da perícia é análise de eventual concorrência desleal e contrafação de códigos-fonte da empresa, por mais que se verifique existência de conteúdo pornográfico, por exemplo, o máximo que se deve fazer é notificar o sponsor ou a autoridade, mas jamais incluir tal item em laudo pericial, por nítida quebra de escopo. Aliás, tal conduta decorre de boas práticas preconizadas pelo FBI (polícia federal norte-americana), ou seja, para plena conformidade, tenho de ter uma autorização para relatar novos fatos em laudo pericial. Infelizmente, somos formados em forense digital a procurar qualquer coisa, pois sempre que procuramos algo específico, nossas chances são significativamente menores. As próprias ferramentas proprietárias disponíveis no mundo já trabalham o conceito de “indexar discos”, em busca de qualquer coisa, sem um escopo específico. Isso de um lado é excelente, por outro, é preocupante e pode ser uma arma para bons defensores.

Maturidade
A perícia digital vem amadurecendo no Brasil, mas ainda muito precisa ser feito para que autoridades de aplicação de leis se aproximem do cybercrime. O Estado precisa sair do estágio febril e parar de comprar ferramentas como se isso fosse capacitar seus profissionais. Devemos focar em técnicas, conceitos, princípios, processos e depois em ferramentas. A tecnologia evolui e não podemos nos escravizar com ferramentas específicas. Aliás, para quem está iniciando, existe uma excelente iniciativa freeware, o Linux FDTK, um framework para perícia forense computacional desenvolvido por brasileiros.

O Estado precisa sair do estágio febril e parar de comprar ferramentas como se isso fosse capacitar seus profissionais.

Os casos enfrentados por um perito digital são variados, podendo ser uma mera constatação de contrafação de código-fonte ou violação de software, ou a análise de escuta clandestina do tráfego de telefonia celular ou internet wireless, passando por análise de memórias de dispositivos, arquivos de paginação e recuperação de dados apagados ou sobrescritos. Apostamos numa perspectiva de especialização rentável para os peritos que já atuam com computação forense. Temos hoje que a maior parte dos incidentes de segurança decorre de vulnerabilidades na web, daí a necessidade futura de um profissional de computação forense com profunda bagagem em programação insegura, penetration test e bancos de dados, capaz de auditar logs, profilers e simular o passado em busca do entendimento sobre o que, como e quem foi o responsável pelo incidente em uma rede web.

Mercado profissional
No que diz respeito à perspectiva de crescimento da área, esclarecemos que o mercado tende a expandir no Brasil assim como ocorreu no mundo. O marco regulatório civil e as leis brasileiras que estabeleçam condutas criminosas na internet tendem a fomentar o perito digital corporativo, apto a atuar em sintonia com o Sistema de Gerenciamento de Segurança da Informação da Empresa, avaliando casos e propondo melhorias; bem como o perito policial e judicial. Os primeiros atuam em investigações e inquéritos que se relacionem com internet e tecnologia; e os segundos auxiliam juízes no entendimento técnico de discussões judiciais cíveis, criminais e trabalhistas. O perito digital será função indispensável à justiça, tal como o advogado, pois por meio dele inocentes não serão condenados e culpados não serão absolvidos.

Quanto à remuneração, os honorários das perícias de qualquer natureza podem variar entre R$ 7.000,00 e R$ 100.000,00, mas a boa rentabilidade reflete grandes responsabilidades. Alertamos aos pretendentes à área que a profissão é rentável, mas exige muito. Podemos ter 300 perícias positivas, mas basta um deslize ou uma evidência clara de que não encontramos o que deveríamos para que todo o histórico seja destruído. Qualquer conduta impensada, como um simples comando para listar o diretório de um sistema operacional, pode significar a perda de dados importantes para o draft final e, consequentemente, milhões para as empresas envolvidas.

Como se vê, para atuar na área, é necessário especialização, mas deve-se ter muito cuidado com os “cursos de ocasião”. Os cursos precisam repisar aspectos legais da coleta, preservação e análise de evidências, mas não devem deixar de contar com simulações práticas. Costumamos selecionar profissionais nem sempre por seus títulos, mas por seus casos de sucesso, e pensamos que o mercado da computação forense também pensa desta forma. Temos excelentes profissionais na empresa que estão concluindo a graduação em TI. Não recomendaríamos uma pós-graduação em computação forense que só trate de Direito. O aluno precisa ter contato com threats quase reais, de modo a ser tornar um projetista quando tiver que lidar com casos reais, rapidamente, estruturando em sua mente suas técnicas e ferramentas a utilizar, considerando todos os princípios da disciplina e, principalmente, ciente de que tempo é, sim, fundamental.

Uso de técnicas hackers para a perícia digital? Por que não? Precisamos ter em mente que estar próximo do cybercrime é romper barreiras burocráticas existentes entre nós e eles.
Para quem é autodidata, são indispensáveis para um perito digital, segundo nossa modesta ótica, conhecimentos de redes e arquitetura TCP/ IP, sistemas de arquivos, sistemas operacionais baseados em Unix e um pouco de programação Shell-script. Muitas ferramentas opensource já homologadas pela comunidade estão em plataforma Unix, logo, um perito que opere somente e plataforma Windows não trará o grau de profundidade necessária para que uma perícia seja considerada correta, verdadeira, ou melhor, para que não seja questionada por advogados do direito digital.

Uso de técnicas hackers para a perícia digital? Por que não? Precisamos ter em mente que estar próximo do cybercrime é romper barreiras burocráticas existentes entre nós e eles. Afinal, enquanto nós precisamos de uma cooperação internacional para, por exemplo, testar determinada ferramenta de rastreamento de pedofilia, eles estão lá, agora, neste exato momento, nos chats irc (Internet Really Chat), colaborativamente, melhorando suas armas digitais. Ser perito digital é saber correlacionar e ter visão sistêmica, e esta visão sistêmica, logicamente, abrange conhecer a arma do seu inimigo ou o que ele usa para esconder o que faz.
José Antonio Milagre/Revista Jurídica

Grupos se especializam em ‘crackear’ programas para celular

‘Tudo é crackeado algum dia’, diz cracker.
Empresas tentam conter a pirataria de apps em smartphones.
Por causa da pirataria, desenvolvedores procuram aumentar a segurança de aplicativos móveis.
(Foto: Felipe Figueiró/LD)

Grupos especializados em piratear aplicativos para dispositivos portáteis, como o PalmOS, agora se concentram nos celulares e, principalmente, nas plataformas dominantes como Symbian (da Nokia), Android (do Google) e iOS (da Apple).

Não há muitos dados sobre a prática, mas desenvolvedores já começaram a criar e incluir tecnologias antipirataria em seus produtos para conter a ação dos “crackers”.[ad#Retangulo – Anuncios – Esquerda]

A Flurry, uma empresa especializada em analisar o comportamento de usuários enquanto utilizam softwares em celulares, afirma que entre 5 e 8% dos downloads são piratas.

A Mtiks, uma companhia de software que desenvolve recursos antipirataria para iOS e Android, afirma que 98 dos 100 softwares pagos mais populares no App Store do iTunes foram crackeados e são distribuídos ilegalmente.

O aparecimento de empresas especializadas nessa área como a Mtiks mostram a demanda por tecnologias antipirataria “enlatadas”. No Windows, elas são muito comuns.

A Rovi Corporation, antigamente conhecida como Macrovision, fornece proteção antipirataria para vários games. A tecnologia SafeDisk da Macrovision é incorporada na instalação padrão do Windows desde o Windows XP.

Segundo David Brennan, diretor da empresa que cria a suíte de escritório QuickOffice, a pirataria ocorre em todas as plataformas, mas as medidas para combater a prática variam.

No Symbian, da Nokia, a companhia usa uma tecnologia antipirataria própria. “Já no iOS e no Android, nós usamos as tecnologias das lojas oficiais das plataformas e do sistema operacional”.

“Nosso software é destravado só para um aparelho específico usando um identificador único como um PIN ou o número IMEI”, explica Brennan; o IMEI é uma espécie de número de série do celular para identificá-lo na rede sem fio. Mas essas medidas atraem ainda mais crackers. “Quanto mais sofisticada é a medida que tomamos, parece que há um apelo maior para quebrá-la”, conta o executivo.

O QuickOffice é um dos softwares mais populares para a utilização de arquivos comuns como documentos Word e planilhas do Excel no celular.

Ele está disponível para várias plataformas.

Em julho, o Google anunciou um serviço unificado de licenciamento para softwares disponíveis no Android Market. Em agosto, o protocolo foi quebrado facilmente. O Google respondeu que parte da culpa era dos desenvolvedores, que usavam o código de exemplo fornecido pela empresa sem alterações. Desenvolvedores devem seguir as instruções para implementar segurança antipirataria em seus produtos.

No iPhone, a App Store também fornece controles semelhantes, mas usuários que fizeram jailbreak em seus iPhones conseguem instalar softwares piratas sem nenhuma dificuldade.

‘Jamais peça dinheiro’

Altieres Rohr/G1 Continue lendo

Cientistas brasileiros rastreiam e-mail para prova digital

Nestes últimos anos, a internet teve uma enorme popularização. Somente no Brasil, aproximadamente 68 milhões de internautas acessam diariamente e-mails, redes sociais, sites, blogs, e outros inúmeros portais.

Mas a procura pelo espaço cibernético não trouxe apenas benefícios, ao contrário, elevou também os crimes digitais, conhecidos como cibercrimes, que atualmente vêm se proliferando por todo o mundo e afetando dezenas de países.

Buscando minorar a incidência dos crimes digitais,novas pesquisas vêm sendo realizadas com o intuito de rastrear os criminosos virtuais com mais rapidez e eficiência.

Uma delas é a pesquisa realizada pela equipe do Programa de Pós-Graduação em Informática (PPGIa), da Pontifícia Universidade Católica do Paraná (PUC-PR), que mediante a identificação e rastreamento de e-mails busca produzir provas digitais que comprovem a ligação do cibercrime cometido com o seu autor.[ad#Retangulo – Anuncios – Direita]

O projeto, apoiado pelo Conselho Nacional de Desenvolvimento Científico e Tecnológico (CNPq/MCT), iniciou suas pesquisas em 2008 e segundo a coordenadora do grupo de pesquisa, Cinthia Obladen de Almendra Freitas, já vem mostrando bons resultados. “A pesquisa visa à aplicação de mecanismos de agrupamento e classificação das conversações por e-mails.

Os resultados ainda são experimentais, mas já atingem taxas próximas a 98% e demonstraram que é possível usar o rastreamento em relacionamentos por e-mails para a produção de provas digitais”, afirma Cinthia. Os testes realizados tiveram por base 179 e-mails, totalizando mais de 120 mil palavras, com uma média de 670 palavras por e-mail.

Rastreamento

A escolha do grupo de rastrear informações textuais no corpo dos e-mails não foi aleatória, mas porque o e-mail é uma das aplicações de rede mais antigas, e também devido ao uso desta ferramenta ter crescido ao longo dos anos. Uma pesquisa feita pelo Group 2009 registrou que existem aproximadamente 1,4 bilhão de usuários de e-mails, com mais de 245 milhões de mensagens enviadas por dia.

“Além da grande utilização da ferramenta eletrônica e-mail para uso convencional, observa-se também o aumento de crimes realizados por meio de serviços virtuais, ou seja, as denominadas condutas criminosas no cyber espaço. Um exemplo é a propagação de crimes de pedofilia na Internet e casos de assédio sexual, que lideram as denúncias”, diz a coordenadora.

Neste sentido, o projeto vem trabalhando na implementação de um mecanismo eficaz para auxiliar os peritos na produção de provas digitais a partir do e-mail, haja vista o grande esforço e tempo que estes profissionais despendem na realização deste tipo de trabalho.

“Quando um crime virtual ocorre e é denunciado, os órgãos competentes o tipificam de acordo com a legislação onde ocorreu. Após a tipificação, normalmente é necessário que um profissional especializado realize uma perícia nas evidências do crime, para que seja comprovada a ligação do cibercrime cometido com o seu autor. Geralmente esse processo é demorado por ser manual. É aí que nosso mecanismo se torna extremamente relevante, pois é capaz de identificar com rapidez se os e-mails são classificados como criminosos ou não”, pontua.

Como funciona

De acordo com Cinthia, o mecanismo de rastreamento funciona com base na aplicação de diferentes técnicas de agrupamento e classificação das informações. “Realizamos o rastreamento de informações textuais no corpo dos e-mails para identificar contextos de palavras criminosas (sentenças) nas conversações.

Em seguida, mediante a identificação e análise destes agrupamentos, buscamos colher provas digitais que constituam o nexo causal no Processo Judicial, ou seja, que comprove a ligação do cibercrime cometido com o seu autor”, explica a doutora.

Segundo Cinthia, este projeto de pesquisa está ligado a outro projeto que tem por objetivo o estudo e identificação de assédio moral em e-mails, bem como das emoções associadas aos e-mails com traços de assédio moral.

Pesquisas como essas e outras tecnologias de ponta na área da Computação Forense mostram que aquela premissa de que a internet “é uma terra sem lei, um mundo virtual, paralelo ao nosso, na qual os atos não têm consequências” está completamente equivocada.

“A internet não é uma terra sem leis. Pelo contrário, quem utiliza tal ferramenta para se relacionar pela “Rede” inegavelmente deve responder sobre seus atos com base na Constituição Federal e nos Códigos Civil e Penal”, finaliza Cinthia.

blog Convergência Digital

Hacker que invadiu site de Obama é condenado na França

Hacker que invadiu contas de Obama e Britney no Twitter é condenado

Jovem de 23 anos ficará cinco meses em liberdade condicional.

François Cousteix também invadiu conta criador do microblog.

A justiça da França condenou na noite desta quinta-feira (24) a cinco meses de liberdade condicional o jovem francês acusado de invadir as contas do presidente dos Estados Unidos, Barack Obama, e da cantora Britney Spears, em 2009.[ad#Retangulo – Anuncios – Direita]

François Cousteix, de 23 anos, mostrou-se aliviado com a pena e não apelará da decisão do Tribunal de Clemont-Ferrand.

A sentença, no entanto, é mais dura que a solicitada pelo Ministério Fiscal, que havia pedido apenas dois meses de pena por um delito que poderia ter custado até dois anos de prisão ao hacker. Cousteix também invadiu a conta de Evan Williams, criador do Twitter.

O jovem, que tem diploma de formação profissional em Eletrônica, se defendeu diante do Tribunal alegando que não tinha destruído nada e que seu delito foi uma “ação preventiva para alertar os internautas” sobre a escolha de suas senhas de acesso.

Em algumas ocasiões, não é necessário hackear a conta na rede social, basta fingir que se esqueceu da senha e responder a uma pergunta de segurança, que pode ser tão óbvia como a cidade de nascimento do titular ou o nome de seu animal de estimação.

Cousteix foi detido em 24 de março deste ano pelas polícias francesa e americana especializadas em crimes na internet.

G1